yonathanpy/cve-2026-20127-cisco-sd-wan-preauth-rceCVE-2026-20127에 대한 개념 증명 익스플로잇으로, Cisco SD-WAN의 사전 인증 RCE(원격 코드 실행) 취약점을 악용하며, 연구 및 방어 테스트를 위한 악성 피어 등록 및 인증 우회를 시연합니다.
이 저장소는 Cisco Catalyst SD-WAN Controller(구 vSmart) 및 Cisco Catalyst SD-WAN Manager(구 vManage) 배포 환경에 영향을 미치는 치명적인 사전 인증 원격 코드 실행(RCE) 취약점인 CVE-2026-20127에 대한 개념 증명(PoC) 익스플로잇을 포함하고 있습니다.
이 취약점은 원격의 인증되지 않은 공격자가 Cisco SD-WAN 인프라의 관리 및 제어 플레인 구성 요소와 직접 상호 작용할 수 있게 하여, 궁극적으로 SD-WAN 패브릭에 대한 완전한 관리 권한 탈취로 이어집니다.
공개 보고 및 벤더 분석에 따르면, 이 취약점은 최소 2023년부터 실제 환경에서 적극적으로 악용되어 왔습니다. Cisco는 이 악용 활동을 UAT-8616으로 식별된 정교한 위협 클러스터의 소행으로 보고 있으며, 해당 그룹은 이 결함을 활용하여 노출된 SD-WAN 환경에 대한 지속적인 관리 액세스 권한을 획득해 왔습니다.
Cisco SD-WAN은 엔터프라이즈 WAN 인프라, 서비스 제공업체 네트워크 및 중요 인프라 환경에 널리 배포되어 있기 때문에, 성공적인 악용은 지리적으로 분산된 네트워크 전반의 네트워크 오케스트레이션 및 라우팅 동작에 대한 완전한 제어를 포함하여 심각한 운영 및 보안 영향을 초래할 수 있습니다.
이 저장소는 보안 연구자, 방어자 및 네트워크 관리자가 취약점 메커니즘을 이해하고 탐지 및 완화 전략을 개선할 수 있도록 지원하기 위한 연구 중심 구현의 익스플로잇을 제공합니다.
CVE ID: CVE-2026-20127
영향을 받는 플랫폼:
취약점 분류:
영향 수준: 치명적(Critical)
이 취약점은 SD-WAN 관리 인프라 내 특정 제어 플레인 통신 경로에 대한 불충분한 검증에서 비롯됩니다. 관리 인터페이스와 악의적인 상호 작용을 구성함으로써, 공격자는 유효한 자격 증명 없이 SD-WAN 제어 플레인 내에 악성 피어를 등록하고 권한을 상승시킬 수 있습니다.
악성 피어가 제어 플레인에 수락되면, 공격자는 내부 관리 서비스와 상호 작용하고 권한 있는 작업을 수행할 수 있는 능력을 얻게 됩니다.
보안 조사 결과 2023년부터 시작된 활발한 악용 캠페인이 노출된 Cisco SD-WAN 관리 엔드포인트를 대상으로 하고 있음이 확인되었습니다.
Cisco는 이러한 공격을 UAT-8616의 소행으로 보고 있으며, 해당 위협 행위자 클러스터의 특징은 다음과 같습니다:
관찰된 공격자 행동에는 다음이 포함됩니다:
SD-WAN 인프라의 악용은 오케스트레이션 계층의 손상이 연결된 모든 사이트에 걸친 전역 네트워크 조작을 가능하게 하기 때문에 특히 위험합니다.
CVE-2026-20127의 성공적인 악용을 통해 공격자는 다음 작업을 수행할 수 있습니다:
공격자는 SD-WAN 관리/제어 플레인 인프라에 합류하는 악성 피어 노드를 생성하고 등록할 수 있습니다. 컨트롤러에 의해 수락되면, 악성 피어는 신뢰된 장치로 내부 구성 요소와 상호 작용할 수 있습니다.
이 취약점을 통해 공격자는 인증 메커니즘을 완전히 우회할 수 있어 유효한 관리 자격 증명이 필요하지 않게 됩니다.
초기 액세스 후 내부 서비스와 상호 작용함으로써, 공격자는 SD-WAN 관리 인터페이스에 대한 완전한 관리 권한을 획득할 수 있습니다.
이 익스플로잇을 통해 공격자는 네트워크 구성 관리에 사용되는 TCP 포트 830에 노출된 NETCONF 서비스와 상호 작용할 수 있습니다.
NETCONF 액세스를 통해 공격자는 다음을 수행할 수 있습니다:
Cisco SD-WAN은 중앙 집중식 오케스트레이션을 사용하므로, 관리 권한을 가진 공격자는 다음을 수행할 수 있습니다:
대규모 배포 환경에서 이는 사실상 전체 WAN 인프라에 대한 제어를 제공합니다.
이 저장소에는 CVE-2026-20127의 악용을 시연하는 연구 등급 개념 증명 구현이 포함되어 있습니다.
PoC는 다음을 설명하도록 설계되었습니다:
이 구현은 통제된 테스트 환경에서 분석 및 재현성을 위해 의도적으로 구조화되었습니다.
이 프로젝트는 다음을 위해 사용됩니다:
이를 통해 방어자와 연구자는 다음을 더 잘 이해할 수 있습니다:
이 익스플로잇은 다음을 포함한 통제된 실험실 환경에서만 실행해야 합니다:
승인 없이 프로덕션 시스템을 대상으로 테스트하는 것은 강력히 권장되지 않으며, 해당 법률 또는 정책을 위반할 수 있습니다.
이 저장소와 관련된 모든 코드는 교육, 연구 및 방어적 보안 목적으로만 제공됩니다.
이 저장소의 자료에 접근, 다운로드 또는 사용함으로써 귀하는 다음 조건에 동의하는 것입니다:
권한 없이 시스템을 대상으로 취약점을 악용하는 것은 많은 관할권에서 불법입니다.
ZeroZenX
취약점과 관련된 문서, 분석 또는 방어적 통찰력을 개선하는 기여를 환영합니다.
기여는 저장소의 연구 및 방어적 보안 초점에 부합하도록 유지해 주시기 바랍니다.
CVE-2026-20127과 관련된 악용 활동을 조사하고 공개한 보안 연구자 및 사고 대응 팀에게 감사를 표합니다. 그들은 Cisco SD-WAN 인프라에 영향을 미치는 위험에 대한 인식을 높이는 데 기여했습니다.
그들의 작업은 방어자가 현대 네트워크 오케스트레이션 플랫폼을 대상으로 하는 새로운 위협을 더 잘 이해할 수 있도록 돕습니다.
